4月22日，瑞数信息重磅发布《2020Bots自动化威胁报告》(下称“报告”)，对2019年Bots自动化威胁的主要类别、攻击来源、攻击态势、技术手段等进行了全面回溯与解读，并对2020年Bots自动化威胁发展趋势做出预测。
2020Bots自动化威胁报告
报告指出，Bots机器人攻击在逐年增加，全球网络流量中正常用户发起的请求已经不足一半。国内的Bots攻击形势则更为严峻，尤其在一些资源抢占类和信息公示类系统中，Bots发起的访问请求占比甚至超80%。同时，相对于传统安全攻防，企业普遍缺乏对于Bots攻击的认知和防护，这进一步加剧了Bots攻击带来的危害。
三大看点不容错过
看点一：聚焦四大Bots核心问题
正如自动化能够帮助企业有效地检测和缓解网络威胁一样，自动化工具的加持也让网络犯罪分子“如虎添翼”。自动化、智能化的Bots攻击正让企业网络的防线频频失守。
国家级大数据成为高级Bots的云集之地
“互联网+政务服务”开放了大量数据查询服务，这些数据经过聚合之后可以成为具有极高价值的国家级大数据，因此吸引了黑产和境外机构Bots的大规模数据拖取，如果被非法滥用，将会带来巨大危害。在各行业中，政府行业的Bots请求比例据行业之首，超过65%；在高级持续性Bots手段使用上，政府行业依然首当其冲，占比超过30%。
庞大的IP资源已成为Bots流量产业的基础设施
大规模廉价的IP资源大幅降低了绕过传统Anti-Bot技术的成本，也成为Bots流量中最常用的手段，更换IP方式在绕过手段中的采用率高达90%以上，严重削弱了IP信誉库的防御能力，高级组织每日使用IP数量可超过百万，两日IP重复率低于10%。
新兴领域的漏洞探测利用效率提升
随着开源和商业漏洞探测利用工具的发展，攻击者对于新兴领域的漏洞发现效率大幅度提升，IoT、API、云端应用等领域虽然兴起时间不长，但暴露的安全问题却有赶超传统领域的趋势，尤其在0day/Nday攻击、接口滥用等方面表现突出。
Bots流量全面隐藏机器特征促使前端对抗升级
借助丰富而低成本的IP资源、平台资源，Bots在流量层面的特征进一步被隐藏，这就要求防护系统能够在前端提取到更多的Bots信息进行识别。JS保护与破解、设备指纹追踪与反追踪、模拟操作行为对抗、验证码对抗等将会更加激烈，AI技术也将会深入介入其中。
看点二：2019年Bots自动化威胁深度分析
随着自动化攻击手段的发展，业务系统面临的攻击类型也越来越多，OWASP最新发布的《Automated Threat Handbook》中提到的自动化威胁已达到21种之多。结合国内的业务系统和攻击者的特点，报告对Bots自动化威胁的多个层面进行了归纳分析和解读。
Bots攻击类别
报告指出，从Bots攻击流量最主要的关注点和对业务影响的角度，可以将Bots攻击类别分为5大类:
-漏洞探测利用
-模拟正常业务操作逻辑抢占业务资源
-爬虫获取高价值数据
-暴力破解或者撞库获取账号信息
-面向应用和业务的拒绝服务攻击
Bots攻击态势
综合来看，Bots发起的请求占比已经超过网站访问总量的一半，达到55.35%，而对于某些提供公共信息查询的政务系统，Bots请求比例甚至超过80%。
从行业上看，政府行业的Bots请求占比最高，超过65%；金融、运营商、互联网行业的平均占比都超过了60%。除了通用的漏洞扫描外，不同行业遭受的Bots攻击类型也不一样。Bots访问占比最高的政府行业，主要攻击场景有爬虫、信息搜刮等；其次为金融行业，主要攻击场景有薅羊毛、批量进件、撞库等；运营商行业则集中在批量缴费、通话记录或账单拖取等场景。
APBs透视
随着各种 Bots对抗技术的涌现，很多场景下简单的脚本工具已经无法有效进行攻击，为了绕过各种防护手段， Bots也由简单脚本向高级持续性机器人(Advanced Persistent Bots，APBs)演进。不同行业面临的APBs威胁也不一样，攻防对抗会加速普通Bots向APBs进化的过程。
值得注意的是，APBs相比普通Bots，具备多种多样的“反反自动化攻击”能力，自动更换IP、特征隐藏、拟人化操作、验证码识别等技术已然成为标配。
移动端分析
企业越来越多的业务系统正在向移动端迁移，为了适应这种环境，攻击平台也必须向移动端转移，多种多样的攻击手段也随之出现，例如各类改机工具、破解框架、模拟器、root、群控、云控、IMEI伪造、GPS伪造、IP代理等。
除此之外，报告中还对攻击来源分布、IP秒拨、Bots隐藏技术等进行了深入分析。
看点三：2020年Bots自动化威胁发展趋势
2019年围绕Bots攻防展开的对抗技术得到了长足发展，但未来这一对抗依然会持续并不断增强。
评论排行